Australische overheid geeft tiener aan bij politie wegens lek
Een Australische overheidsdienst heeft de politie verzocht een onderzoek in te stellen naar een 16-jarige jongen die een beveiligingslek op de website ontdekte en rapporteerde. Joshua Rogers, zoals de jongen heet, wist naar eigen zeggen op eenvoudige wijze toegang tot een database van de Public Transport Victoria website te krijgen.
Public Transport Victoria is verantwoordelijk voor het openbaar vervoer in de Australische staat Victoria. De website bevatte een beveiligingslek waardoor Rogers toegang kreeg tot namen, adresgegevens, vaste en mobiele telefoonnummers, e-mailadressen, geboortedata, identiteitskaartnummer van senioren en negen cijfers van het creditcardnummer. De data was afkomstig van een webwinkel die de overheidsdienst vroeger via de website aanbood.
Waarschuwing
Joshua, die naar eigen zeggen een white hat hacker is en alleen de veiligheid van websites wil verbeteren, waarschuwde de overheidsdienst. Aangezien hij geen reactie kreeg stapte hij naar de Australische media. Een week na de melding had de tiener nog altijd geen reactie ontvangen.
Nadat de overheidsdienst door het Australische Fairfax Media was benaderd ging het tot actie over en vroeg de politie van Victoria om de ongeautoriseerde toegang tot het systeem te onderzoeken. Inmiddels zou het beveiligingslek zijn verholpen. Het onderzoek naar de hack door Rogers loopt nog.
goede hulp wordt afgestraft!
Uit hun reactie(eerst geen reactie en dan justitie inschakelen) word duidelijk dat de Australiesche overheid nog een paar jaartjes nodig om een beetje volwassen te worden op ict security gebied.
De vraagsteller wilde hoe dan ook bij iemand controleren of de zaak wel goed afgedicht was.
We hebben uitgebreid gewaarschuwd.
Hier zie je zo'n voorval en wat er kan gebeuren.
Het verloop zal en kan hier hetzelfde zijn met alle gevolgen van dien.
Merk op dat heel de beveiligingsindustrie hier niet echt een volgbaar voorbeeld geeft. Dat mag best gezegd. Flink veel bombarie en ophemelen van eigen kunnen en het dan gek vinden dat zestienjarigen dat een machtig mooi idee vinden dat ze zelf ook wel willen proberen. Want hee, die witte hoedjes zijn toch de "good guys" en verbeteren de wereld toch?
Hoe was dat ookweer met onze eigen oudere jongere Henk Krol?
goede hulp wordt afgestraft!
Het is wel zo dat hij wel erg snel naar de media is gelopen. Ik zou in ieder geval geen reactie verwachten in de periode tussen kerst en nieuwjaar. En zelfs in het nieuwe jaar zou ik aannemen dat het in de grote hoeveelheid kerstmail verloren is gegaan. Een tweede melding halverwege januari was zinnig geweest.
Peter
Dat gezegd kijk ik er wat cynisch naar. Mensen wijzen op kwetsbaarheden is een groot goed, maar als men bereid is om te vervolgen om het niet te willen horen houdt het op. Geen 'responsible disclosure' beleid van zowel bedrijf als autoriteiten? Dan is mijn advies om niet te onderzoeken, en als je toevallig ergens over struikelt (fat finger typing bijvoorbeeld), je twee keer te bedenken of je in de media hard kan maken dat het een ongeluk was voor je je nek uit steekt en het meldt. Ze willen toch niet gewaarschuwd worden? Laat ze dan maar aan de 'tender mercies' van de cybercriminelen...
Daar staat wel iets tegen over. Het lijkt me geen verkeerd idee om ons sterk te maken voor de gedachte dat de diverse databeschermings autoriteiten het als een verzwarende omstandigheid zouden zien als zij merken dat een organisatie zo lek als een mandje zou blijken te zijn en ze geen fatsoenlijk 'responsible disclosure' beleid zouden hebben. Ze hebben dan bepaald minder gedaan dan mogelijk om lekken op te laten sporen en te dichten...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
